ISOR:Toegangbeveiligingsbeleid: verschil tussen versies
k (Toegangbeveiliging aangepast naar Toegangsbeveiliging) |
(doel en risico toegevoegd) |
||
Regel 9: | Regel 9: | ||
Opgemerkt wordt, dat de control ‘toegangsbeveiliging beleid’ niet gaat over een diepgaande beoordeling van het toegangbeveiligingsbeleid, maar dat het beleid een redelijke richting dient te geven voor de invulling van operationele activiteiten binnen het Uitvoeringsdomein. | Opgemerkt wordt, dat de control ‘toegangsbeveiliging beleid’ niet gaat over een diepgaande beoordeling van het toegangbeveiligingsbeleid, maar dat het beleid een redelijke richting dient te geven voor de invulling van operationele activiteiten binnen het Uitvoeringsdomein. | ||
|Criterium=Een ''toegangbeveiligingsbeleid'' moet worden vastgesteld, gedocumenteerd en beoordeeld op basis van ''bedrijfseisen'' en ''informatiebeveiligingseisen''. | |Criterium=Een ''toegangbeveiligingsbeleid'' moet worden vastgesteld, gedocumenteerd en beoordeeld op basis van ''bedrijfseisen'' en ''informatiebeveiligingseisen''. | ||
|Doelstelling=Het beheersen van de toegang tot informatie. | |||
|Risico=Onvoldoende mogelijkheden om enerzijds sturing te geven aan de effectieve en betrouwbare inrichting van toegangbeveiligingsmaatregelen en anderzijds sturing te geven aan het inrichten van de beheerorganisatie van de autorisatievoorziening en hierover verantwoordingrapportage te laten afgeven. | |||
|Beveiligingsaspect=Beleid | |Beveiligingsaspect=Beleid | ||
|Invalshoek=Intentie | |Invalshoek=Intentie | ||
|Grondslag=* NEN-ISO/IEC 27002: 9 | |Grondslag=* NEN-ISO/IEC 27002: 9.1.1 | ||
|Conformiteitsindicator= | |Conformiteitsindicator=toegangbeveiligingsbeleidbedrijfseiseninformatiebeveiligingseisen | ||
|Heeft bron=BIO Thema Toegangsbeveiliging | |Heeft bron=BIO Thema Toegangsbeveiliging | ||
|Versie=1.0 | |Versie=1.0 | ||
|Heeft ouder=ISOR:Toegangsbeveiliging Beleidsdomein | |Heeft ouder=ISOR:Toegangsbeveiliging Beleidsdomein | ||
}} | }} |
Versie van 14 jan 2020 12:38
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
|
Het toegangbeveiligingsbeleid maakt deel uit van het informatiebeveiliging beleid en geeft regels en voorschriften voor de organisatorische en technische inrichting van de fysieke toegang tot ruimten waar ICT middelen zich bevinden en voor toegang tot de informatie en informatie verwerkende faciliteiten zelf, bijvoorbeeld toegang voor gebruikers tot applicaties en toegang voor beheerders tot ICT-componenten. Het toegangsbeveiliging beleid beschrijft onder andere de manier waarop de klantorganisatie omgaat met identiteit- en toegangsbeheer. Opgemerkt wordt, dat de control ‘toegangsbeveiliging beleid’ niet gaat over een diepgaande beoordeling van het toegangbeveiligingsbeleid, maar dat het beleid een redelijke richting dient te geven voor de invulling van operationele activiteiten binnen het Uitvoeringsdomein.
Criterium
Doelstelling
Risico
Indeling binnen ISOR
Dit beveiligingsprincipe:
- is gericht op het Beveiligingsaspect Beleid;
- valt binnen de Invalshoek Intentie.
ℹ️(Klik om uitleg open/dicht te klappen)
Grondslag
De grondslag voor dit principe is BIO (Baseline Informatiebeveiliging Overheid) 9.1.1
Onderliggende normen
ID | Conformiteitsindicator | Stelling |
---|---|---|
TBV_B.01.01 | Toegangsbeveiligingsbeleid |
Het toegangvoorzieningsbeleid:
|
TBV_B.01.02 | Bedrijfseisen |
Bij bescherming van toegang tot gegevens wordt aandacht geschonken aan relevante wetgeving en eventuele contractuele verplichtingen. |
TBV_B.01.03 | Bedrijfseisen |
Er zijn standaard gebruikersprofielen met toegangsrechten voor veelvoorkomende rollen in de organisaties. |
TBV_B.01.04 | Informatiebeveiligingseisen |
Informatiespreiding en autorisatie tot informatie worden uitgevoerd met need-to-know- en need-to-use- principes. |
TBV_B.01.05 | Informatiebeveiligingseisen |
Het autorisatiebeheer is procesmatig ingericht (zoals: aanvragen, toekennen, controleren, implementeren, intrekken/beëindigen en periodiek beoordelen). |